ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Virus.MSOffice.Triplicate

Classe Virus
Plataforma MSOffice
Descrição

Detalhes técnicos

Quando o vírus é ativado a partir de um documento do Word infectado, ele primeiro desabilita a proteção antivírus do Word, verifica o modelo NORMAL.DOT e, em seguida, procura presença de vírus. Se esse arquivo ainda não estiver infectado, o vírus considerará o sistema não infectado e começará a inserir outros componentes do Office. Essas operações contêm três etapas: infecção pelo Word Infection, Excel Infection e PowerPoint.

1. A infecção do Word é a operação mais simples deste vírus. Apenas copia seu código do documento atual para o modelo normal (NORMAL.DOT).

2. A infecção do Excel é mais complexa. Primeiro de tudo, o vírus inicia uma nova instância do Excel usando a função CreateObject ("Excel.Application"). O vírus, em seguida, verifica o arquivo BOOK1 na pasta de inicialização do Excel. Caso este arquivo não esteja presente, o vírus infectará o Excel. Durante isso, o vírus desativa a proteção antiviral do Excel no registro do sistema, cria um novo WorkBook, copia seu próprio código para ele e salva esse arquivo com o nome BOOK1 na pasta de inicialização do Excel. Cada planilha dessa pasta é carregada automaticamente quando o Excel é iniciado e, como resultado, o Excel é infectado na próxima reinicialização.

3. A infecção no PowerPoint é a mesma do Excel: o vírus cria uma nova instância do PowerPoint, verifica uma apresentação chamada 'Presentation.pot em branco' na pasta de modelos do PowerPoint e tenta localizar um módulo chamado 'Triplicate' nela . Se este módulo não estiver presente, o vírus infecta o PowerPoint: ele desativa a proteção antiviral no registro do sistema, cria um novo módulo 'Triplicate' no 'Blank Presentation.pot' e copia seu código de vírus para ele. Depois disso, o vírus adiciona uma nova 'forma' à apresentação, com largura e altura iguais às da largura e altura do slide, e define o procedimento de ativação dessa forma como "actionhook ()" (esse procedimento será ativado quando usuário clica nessa forma).

Finalmente, o vírus verifica a infecção atual do documento do Word e a infecta se ainda não tiver sido infectado. Essa ramificação da rotina de vírus é executada apenas no caso em que o vírus é carregado de um modelo infectado e um novo documento não infectado é fechado.

Infecção via planilhas e apresentações

Os procedimentos do Excel e do PowerPoint são os mesmos, exceto por alguns pequenos detalhes.

O arquivo BOOK1 na pasta de inicialização do Excel é usado pelo vírus como um identificador do Office infectado. Portanto, o vírus primeiro procura esse arquivo e infecta os aplicativos do Office se esse arquivo não existir. Depois disso, o vírus tenta infectar o aplicativo Word.

1. O vírus obtém objetos 'Word.Application'. Aqui, o vírus usa outra função para obter um objeto. Em vez de CreateObjects (), o vírus usa a função GetObject (). Essa função obtém objetos da instância atualmente ativa do aplicativo. O vírus precisa disso para infectar NORMAL.DOT, que não pode ser acessado para gravação se já estiver aberto por outra instância do Word. Se o Word não estiver ativo no momento, o vírus acabou de criar uma nova amostra do Word.

Quando o aplicativo do Word é acessado, o vírus inicia sua rotina de distribuição. Exclui todo o código no modelo normal, cria o procedimento 'DisableAV ()' e copia um bloco do código do vírus, executa e exclui o código. Este procedimento curto (apenas oito linhas) desativa a proteção antiviral do Excel e do PowerPoint. Em seguida, o vírus copia seu código de um arquivo infectado para o modelo normal. A infecção do Word está completa.

2. Neste estágio, os aplicativos Excel e PowerPoint estão infectados. O vírus infecta a pasta de inicialização do Excel da apresentação do PowerPoint ou insere seu código no modelo do PowerPoint exatamente como descrito acima quando o vírus se espalha a partir de um documento infectado do Word.

O procedimento de ativação do PowerPoint tem um pequeno detalhe adicional: o vírus ativa seu código de infecção em uma base de sete, dependendo do contador aleatório do sistema.


Link para o original